книги хакеры / журнал хакер / 085_Optimized

ПОВЕСТЬ О ГОЛУБЫХ ЗУБАХ

Возможно, в этом месте статьи стоило выразить свое негодование: дырка в таком популярном протоколе! Оболтусы и негодяи эти скандинавы, разработчики bluetooth! Но, я думаю, будет луч- ше отправить всю критику и недовольные возгласы относительно BT-баги аккуратно в топку и, собственно, приступить к делу. А дело в том, что в мае этого года Авиша Вул и Янив Шакед (Avishai Wool, Yaniv Shaked) — сотрудники Тель-Авивского университета опубликовали в Интернете подробное описание атаки на блютус-устройства. Материал наделал довольно много шума (ты, наверное, слышал о нем, да?), и это не зря. Суть нападения заключается в том, что хакер может похитить PIN-код во время процесса паринга (pairing) двух девайсов. Эта процедура взлома довольно сложная и включает в себя несколько этапов, среди которых самым важными является сбор пакетов данных и их анализ с последующей расшифровкой. Скажу тебе сразу, что ма-

териал своеобразный. Для того чтобы его правильно понять, нужно немного поразмыслить и подключить фантазию.

Сам процесс атаки тесно связан с механизмом аутентификации и созданием ключа-шифра между двумя устройствами, поэтому перед тем как мы перейдем непосредственно ко взлому PIN'а, давай поглядим, какую последовательность действий соверша-

ют устройства, желающие соединиться.

НАЧАЛО НАЧАЛ — PAIRING

Паринг — это процесс, в котором два (или более) девайса связываются для создания общей для всех устройств секретной величины Kinit, которая потом используется в дальнейшем общении этих bluetooth-устройств. Сразу оговорюсь, что по ходу текста я буду иногда называть паринг «сопряжением» — это синонимы, чтобы ты знал. В некоторых официальных доках по BT можно даже встретить смешной перевод («подгонка пары»), поэтому, я думаю, что никто не уличит нас в безграмотности.

Процесс установки связи называется инициализацией, и в bluetooth ее принято делить на три шага:

1 Создание ключа инициализации (тот самый Kinit)

2 Создание ключа связи (в официальной документации называется link key и обозначается, как Kab)

3 Аутентификация

Перед тем как устройства начнут «спариваться» (люди, о чем я тут пишу? :)), на обеих сторонах нужно ввести специальный PIN-код. Обычно, если два человека хотят связать, допустим, свои телефоны, они заранее договариваются о том, какой будет PIN. В будущем соединяющиеся устройства мы будем называть весьма красноречиво — A и B; кроме того, одно устройство при паринге становится главным (Master), а другое — ведомым

(Slave). Будем считать, что устройство A — главное, а B — ведомое. Это нам пригодится, чтобы не путаться и адекватно воспринимать

приводимые схемы. Сразу после того, как пользователи ввели PIN-коды, начинается создание ключа Kinit. Kinit формируется по алгоритму E22, который оперирует такими величинами:

1 BD_ADDR — уникальный адрес BT-устройства длиной 48 бит (то же самое, что и MAC-адрес у обычной сетевухи)

2 PIN и его длина

3 Случайное 128-битное число IN_RAND

На выходе, после работы E22 алгоритма, получаем 128битное слово, которое гордо именуется Kinit. Стоит подчеркнуть, что число IN_RAND отсылается устройством A в чистом виде, то есть ни о каком шифровании речи еще не идет. Если PIN-код устройства неизменяем, то при формировании ключа инициализации (Kinit) используется BD_ADDR второго устройства. Когда у обоих девайсов пины разные, будет использован BD_ADDR(B). Первый шаг паринга пройден, а за ним следует создание link key Kab. Как только он будет сформирован, ключ Kinit отбрасывается и больше не используется.

Плавно переходим к созданию ключа связи (link key), который в простонародье называют Kab. Для этого нехитрого дела железки пересылают друг другу 128-битные слова LK_RAND(A) и LK_RAND(B), которые генерируются случайным образом и обмениваются ими после побитового XOR'a ключом инициализации

Узнать BD_ADDR-устройства очень просто. Для этого есть стандартная процедура опроса (inquiry). Поэтому адреса устройств A и В — не секрет для хакера :).

Kinit. Вся процедура достаточно подробно описана на схеме. После того как девайсы уже обменялись поксоренными словами, начинается вычисление ключа по методу E21. Вот что необходимо для Kab-ключа:

1 BD_ADDR (это мы уже проходили)

2 128-битный LK_RAND (каждое устройство хранит свое

и полученное от другого девайса значение)

//На это месте pairing ЗАКАНЧИВАЕТСЯ

После длительных потуг link key все-таки создается, и это зна- чит, что сам паринг успешно завершен, и начинается последний этап инициализации bluetooth — совместная аутентификация, или Mutual authentication. Процесс основан на довольно любопытной схеме «запрос-ответ». Но одна из железок становится верификатором (то есть «проверяющим»), генерирует случайное слово AU_RAND(A) и в plain text засылает его соседнему устройству, кратко называемому предъявителем (claimant — в оригинальной документации). Как только устройство-предъявитель получает это «слово», начинается вычисление величины SRES с применением алгоритма E1, и она отправляется верификатору. Соседний девайс производит аналогичные вычисления и проверяет ответ предъявителя. Если SRES'ы совпали, то, значит, все ОК, и теперь девайсы меняются ролями, так что процесс повторяется заново. Сам же SRES вычисляется по E1-алгоритму, который оперирует такими величинами:

1 Случайно созданное AU_RAND

2 link key Kab

3 Свой собственный BD_ADDR

Представить в голове такой процесс довольно муторно, но туман рассеется, как только ты взглянешь на схему. Все, с инициализацией разобрались, идем дальше.

THE BASIC ATTACK

Как происходит аутентификация мы уже разобрали. Самое время проанализировать данные, которыми обменивались устройства на протяжении всего процесса сопряжения:

Обладая этими сведениями, реально продумать и рассчитать теоретический план атаки на bluetooth-соединение, чтобы украсть PIN. Представим, что негодяй хакер прослушал эфир и во время

1 Как только паринг закончен, устройства переходят непосредственно к фазе аутентификации. Первым делом девайс Master отсылает AU_RAND-сообщение и ждет в ответ вычисленный SRES. Возможность потери ключа связи декларирована самим стандартом связи. В этом случае slave-устройство посылает запрос «LMP_not_accepted», чтобы master знал, что ключ был утерян. Выходит, как только главное устройство отошлет AU_RAND, хакеру останется только внедрить пакет с «LMP_not_accepted» masterдевайсу. Уверенный в том, что slave действительно провафлил ключ, master заново перезапускает процесс паринга. Причем перезапуск pairing-процедуры означает, что ключ связи больше не действителен и использоваться больше не будет.

2 Второй метод атаки выглядит немного по-другому. В начале фазы аутентификации master готовится отправить AU_RAND ведомому устройству. Если взломщик успеет до этого отправить IN_RAND-сообщение slave-аппарату, то он будет думать, что мастер забыл ключ связи. Это заставит устройства переподклю- читься заново и еще раз провести сопряжение.

3 Теперь третий вариант развития событий. Опять же во время аутентификации мастер шлет AU_RAND и ожидает принять в ответ посчитанный SRES. Если же вслед за отправкой AU_RAND master'у подсунуть от фонаря посчитанное SRES-сообщение, то аутентификация будет считаться проваленной. После этого аппараты по-

пытаются еще несколько раз (количество попыток зависит от устройства) повторить аутентификацию. В какой-то момент, когда количество неудачных попыток превысит лимит, основное устройство объявит ошибку и потребует начать сопряжение заново.

Эти методы описывают, как принудить девайсы «забыть» link key, что само по себе ведет к повторному pairing'у, а значит, злоумышленник может подслушать весь процесс с самого начала, перехватить все важные сообщения и взломать PIN.

РЕЗУЛЬТАТЫ

В принципе, я многое рассказал по этому поводу. В статье не упоминались лишь подробности работы алгоритмов E22, E21, E1

èособенности шифра SAFER+, который является их основой, — это отдельный разговор. Так вот, только что описанная уязвимость из разряда «критических», и это подтвердил сам Брюс Шнайер. Метод подбора PIN'a на практике работает прекрасно,

èвот результаты, которые он показал (Pentium IV 3Ghz HT):

Как видишь, увеличение длины пин-кода не особо помогает, и советовать его в качестве панацеи я не буду. Насчет того, что спаривать девайсы в людном месте и с подозрительными личностями вредно, я думаю, ты и так прекрасно знаешь. Скорее всего, пока создатели протокола тщательно не пересмотрят схему инициализации соединений и не предложат что-то концептуально новое, баг все еще будет актуален. Если проводить аналогию, то наиболее удачное сравнение будет с Wi-Fi и WEP-протоколом, о недочетах которого уже довольно много известно. Чем это грозит для рядового пользователя? Ничем приятным. Атака позволяет вылавливать и расшифровывать пакеты прямо во время передачи данных, что по сути является обычным снифингом. В теории, наверно, можно изменять/искажать содержание пакетов, которыми обмениваются девайсы.

HAPPY END

Впрочем, не буду сгущать краски. Я думаю, что атаки такого рода не будут слишком популярны среди хакеров до тех пор, пока под это дело энтузиасты не зарелизят удобный и функциональный софт. Впрочем, к тому времени, как мне кажется, проблему в Bluetooth надлежащим образом проработают. А что сейчас? Сейчас я привел тебе только факты. Чтобы не подвергнуться взлому (даже таким изощренным способом), просто будь осторожнее и старайся обращать внимание на необычные ситуации, ведь если подумать, то никакая ошибка не может возникнуть просто так.

BINARY YOUR’S z

TEXT LEXX918 / LEXX918@MAIL.RU /

ВЕСЕЛЫЙ

КОНКУРС

ИСТОРИЯ О ТОМ, КАК ХАКЕРЫ ПОБЕЖДАЮТ В КОНКУРСАХ С ЦЕННЫМИ ПРИЗАМИ

ПОИСК ЖЕРТВЫ

На самом деле я довольно ленивый человек и поэтому никогда не участвовал в таких конкурсах, но в этот раз ко мне обратился старый приятель, который всерьез захотел поднять к Новому 2006 году какой-то новый девайс на халяву. Его стараниями было найдено несколько вполне солидных ресурсов. Мой рассказ об одном из них — самом привлекательном, с моей точки зрения, лишь от того, что создатели сайта хоть как-то позаботились о безопасности, чего нельзя сказать об остальных.

Итак, это было что-то вроде заурядного online-магазина с кучей компьютерного железа. Администрация проводила конкурс, в котором надо было сыграть в логическую игру. По результатам конкурса определялся один победитель, который получал очень даже солидный приз — ЖК монитор «Philips 170b6». Я не стал вчитываться в подробности акции, а просто порегался и сыграл несколько игр. Честно говоря, результат «вы на 11451 месте» меня не очень порадовал. Особенно, если учесть, что мониторов было не 12000, а всего один, и с таким количеством очков мне не светило его заполучить.

ЛОВЛЯ НА ЖИВЦА

Игра была реализована в виде Flash-ролика. Стакан заполнялся разноцветными шариками, которые надо было убирать группами одного цвета. Чем больше группа, тем больше очков получал игрок. Как только все оставшиеся шарики не образовывают ни одной группы, игра заканчивается, а результат передается на сервер, где записывается, сравнивался с таблицей рекордов, и в завершение всему пользователю возвращается число — место в таблице игроков. Полагается, что надо долго и упорно играть в игру, чтобы заработать как можно больше очков и получить заветный приз. Однако именно это не входило в мои планы. Мне предстояло разобраться с тем, как именно выглядит взаимодействие между сервером и нашим флешовым клиентом-игрой. Если я пойму, как реализована передача данных, то смогу ответить на вопрос: возможно ли фальсифицировать результаты игр и добиться требуемого результата. В принципе понятно, что flash-клиент передает серверу данные по протоколу HTTP, но как именно и каким методом — это вопрос. Вопрос, ответить на который можно банально, отснифав сетевую активность во время игры и подсчета очков.

Я КАК ПРОХОДИЛ КОНКУРС

Я МОГУ СОЗДАТЬ И ПОДПИСАТЬ ЛЮБОЙ РЕЗУЛЬТАТ

ВБИВАЮ

АДЕКВАТНОЕ ЧИСЛО ОЧКОВ.

КОНКУРС ВЗЛОМАН

СХЕМА

ПРОХОЖДЕНИЯ

КОНКУРСА

Для этого я решил воспользоваться программой «Essential NetTools 3.2», однако навязывать тебе свой выбор я не буду, так как ты уже достаточно взрослый, чтобы самостоятельно определять инструмент, с которым будешь работать. Я настроил NetTools таким образом, чтобы программа слушала 127.0.0.1:81/TCP порт и показывала все данные, прилетающие туда. Затем в своем браузере я указал, что необходимо использовать проксик localhost:81, и принялся играть.

Как только последняя группа шариков была убрана, флешка на- чала долбиться к себе домой и сдала с потрохами своих создателей. Оказалось, что по окончании игры flash-клиент формирует POST-запрос и отправляет его серверу. Причем в недрах запроса передаются следующие переменные:

flashk=0c248caeb075b660c39726e5ec449c52&action=add&email=c ool_xakep%40xakep_mail%2Eru&username=user_name&point=302

В структуре возвращаемых серверу данных разобраться очень легко. По- нятно,чтоpoint=302—эточислонабранныхочков,username=user_name— это имя пользователя, email=cool_xakep@xakep_mail.ru — мыло, action=add

— какой-то флаг команды вроде «добавить рекорд». Единственная непонятка — что за параметр flashk=0c248? Он состоит из 32-х символов и очень напоминает значение какой-то популярной хэш-функции

вроде md5. Видимо, это своеобразная «подпись запроса», гарантирующая разработчикам конкурса достоверность данных. Действительно, когда я просто поменял количество набранных очков, то обломался: сервер вернул ошибку. Значит, в самом деле flashk — это подпись запроса, строка, которая генерируется некоторым, пока неизвестным мне способом из остальных переменных и, возможно, какой-то еще вторичной информации вроде времени, даты или пинга до сервака. Я, конечно, утрирую, но гадать здесь глупо — надо лезть в кишки flash-игры.

ПРЕПАРИРОВАНИЕ

Сейчас уже все более-менее представляют себе, что такое Flash. Это очень мощный инструмент для создания умных интерфейсов и роликов, который оперирует векторными объектами. Вся анимация и интерактив описываются на специальном языке ActionScript. Это свой собственный интерпретируемый язык программирования, который неразрывно связан с технологией Flash. Он имеет очень мощную объектную структуру и получил большое распространение и популярность, несмотря на свои не самые впечатляющие скоростные показатели.

Однако могу поспорить, что далеко не все знают, что сценарий, управляющий flash-приложением, хранится в теле самого ролика в текстовом виде и может быть легко оттуда получен. То есть,